Configuración Servidor FTP Centos 7

Transcripción

1 Configuración Servidor FTP Centos 7 Autor: Pablo Andrés Bernabéu Soler Sistemas y Servicios en Red En esta práctica se instalará y configurará un servidor FTP. Para ello, se seguirán los siguientes pasos: 1. Pasos Previos 3. Seguridad 4. Creación directorios. Creación de Usuarios y Grupos 5. Cuotas de disco 6. Logging 1. Pasos Previos Configure las tarjetas de red del servidor: VLAN Producción: VLAN Gestión: VLAN Storage: Dirección IP 10.XX DNS los servidores de la UPV Dirección IP 10.XX Dirección IP 10.XX Nombre a la máquina con el nombre ftpc.grupoxx.net A partir de entonces acceda a realizar la gestión a través de la VLAN de gestión. Configure el acceso ssh sólo por la IP indicada en la VLAN de Gestión. Reinicie la máquina. 2. Instalación del servicio FTP y configuración FTP (File Transfer Protocol) es un protocolo TCP/IP que permite transferir ficheros entre un servidor y un cliente. Cualquier servidor LINUX puede llegar a ser un servidor FTP instalando el software apropiado. Los usuarios de un sistema pueden ser a su vez usuarios FTP. Cuando los usuarios acceden al servidor FTP, empiezan la sesión en su directorio home. El primer paso que vamos a realizar, va a ser, la instalación del servicio Very Secure FTP Daemon (vsftp) en Linux Centos Red Hat 7 para la compañía grupoxx.net Una buena práctica es actualizar los packages. root@ftpc ~]# yum -y update Instalamos vsftpd y los paquetes requeridos root@ftpc ~]# yum -y install vsftpd El servidor FTP será instalado con los siguientes requerimientos: Los usuarios FTP serán usuarios locales.

2 El directorio inicial para los usuarios FTP será /datos/ftp Sistemas y Servicios en Red Navegar por el sistema de ficheros no estará permitido para ningún usuario FTP. El acceso anónimo no estará permitido. Los usuarios FTP no pueden entrar al sistema (no pueden acceder mediante login y password, no pueden acceder vía shell). Estará deshabilitado el acceso como usuario root La máxima velocidad de transferencia para los usuarios FTP será de 10 Mbps ( bps). El servidor sólo escuchará peticiones FTP que lleguen por la VLAN de producción (10.XX ) Para ello debe establecer parámetros de configuración en el fichero vsftpd.conf. Abra el fichero [root@ftpc ~]# vi /etc/vsftpd/vsftpd.conf Añada al final del mismo: listen_address=10.xx (sólo escucha VLAN producción) local_max_rate= (establecemos la máxima velocidad de transmisión) Busque las directivas local_enable y anonymous_enable quite comentarios y verifique que su atributo es el indicado. local_enable=yes (habilita usuarios locales) anonymous_enable=no (no permite el acceso anónimo) Para conseguir que la conexión al usuario root esté deshabilitada, hemos de tener la directiva a userlist_enable a YES. De esta forma los usuarios que aparecen en el fichero vi /etc/vsftpd/user_list, no son permitidos, ya que por defecto userlist_deny=yes

3 Si por el contrario, quisiéramos permitir la conexión sólo de los usuarios listados en este fichero, tendríamos que añadir la directiva userlist_deny=no, para que no se ejecutase por defecto que es YES. Ahora tenemos que conseguir que nuestros usuarios no puedan navegar fuera de su directorio asignado. En primer lugar, para que los usuarios estén enjaulados en su directorio FTP la directiva chroot_local_user tiene que tener asignada el valor de YES. Los nombres de usuarios virtuales que agregamos a la lista /etc/vsftpd/chroot_list serán aquellos usuarios que SI podrán navegar por todo el sistema de archivos cuando la directiva chroot_local_user=yes, por este motivo, sólo agregaremos a esta lista los usuarios que necesitan acceder a todo el sistema de archivos, y a todos aquellos usuarios virtuales que no incluidos en el archivo chroot_list quedarán bien enjaulados. (Esta opción la activamos para permitir la posibilidad de tener unos usuarios enjaulados o no) Como resumen: # Enjaula a los usuarios locales dentro de su propio directorio personal, esta opción mejora la seguridad. chroot_local_user=yes # Permite especificar una lista con los usuarios locales a los cuales # no se les enjaulará cuando la opción chroot_local_user = YES. chroot_list_enable=yes # Especifica la ruta en donde se encuentra la lista, en mi caso he # creado una carpeta en el directorio /etc llamada vsftpd, en la # cual coloqué el archivo de texto (vsftpd.chroot_list) que contiene # la lista. chroot_list_file=/etc/vsftpd/chroot_list Además debemos crear el fichero chroot_list : touch /etc/vsftpd/chroot_list Y dejarlo de momento vacío. Proceda pues con la información indicada a configurar el servicio ftp. Configure el arranque automático. systemctl enable vsftpd.service systemctl start vsftpd Una vez configurado, lo más recomendable es reiniciar el servidor, con lo cual nos aseguramos que los cambios quedan aceptados y funcionales. Actividades Cree el directorio /datos/ftp. Cree un usuario dummy para testear el servicio (user:dummy, password=pa$$word) Chequee el servicio FTP está funcionando y escuchando por la VLAN de producción. Chequee la conexión desde el host usando FILEZILLA.

4 Cuando creamos el directorio lo hacemos como root y deben usarlo otros usuarios, por ello cambiamos los permisos del directorio: chmod R 777 /datos/ftp Consideraciones: Para verificar el servicio puede instalar las herramientas de red. [root@ftpc /]# yum install net-tools Y ejecutar netstat -pan more Como podemos observar en la primera línea escucha vsftpd por la IP y el puerto 21. Para crear el usuario (busque en internet para entender el comando useradd de Centos): useradd -d /datos/ftp/dummy -m -s /usr/sbin/nologin -c "Dummy D." dummy Con ello creamos el usuario dummy. Le indicamos cuáles es su directorio y además que no poder hacer login. Instale en la máquina cliente Filezilla, previamente debe instalar el entorno gráfico. 3. Seguridad En este laboratorio, el estudiante no configura SELINUX. Pase SELINUX a modo Permissive permanentemente. Para ello, abra el fichero /etc/selinux/config. Coloque SELINUX=permissive. Importante: en un entorno de Producción es necesario habilitar tantos sistemas de seguridad como sean posibles con el fin de evitar problemas de seguridad.

5 Por ello, vamos a aprender en esta práctica la configuración el firewall en Centos, lo aprendido aquí debemos aplicarlo cuando instalemos el resto de servicios de las siguientes prácticas (de esta forma consolidaremos lo aprendido) Instale el firewall, si no estuviese instalado. Para sabe si hay un paquete instalado puede usar el comando: rpm -q [paquete]. En nuestro caso. rpm -q firewalld Para instalar: yum -y install firewalld En la siguiente url get started firewalld/ tiene información para aprender a configurar el cortafuegos en Centos Red Hat 7. Actividad Configure el firewall con las siguientes zonas y servicios permanentemente (borre otros servicios). El nombre de la interface puede cambiar dependiendo de la máquina virtual Active la interface storage, con la IP 10.XX Zona Interface VLAN Servicios Public enps03 Producción ftp Home enps08 Gestión ssh Internal enps09 Storage Aplique los cambios de forma permanente: [root@ftpc ~]# firewall-cmd --reload Actividades Chequee la configuración del cortafuegos en las tres interfaces: firewall-cmd --permanent --zone=???? --list-all Chequee la conexión desde el host usando Filezilla. Cargue un fichero grande y chequee la velocidad de subida. 4. Creación directorios. Creación de Usuarios y Grupos Consideraciones de los directorios, los usuarios FTP: Tendrán acceso privado al directorio personal (mismo nombre que nombre de usuario). Tendrán acceso a un fichero compartido, con el resto de usuarios donde cada uno de ellos tendrá permisos de lectura y escritura (directorios para compartir documentos). Tendrán acceso a un fichero con el resto de usuarios donde cada uno de ellos tendrá sólo permiso de lectura (directorio de documentos de la compañía: procedimientos, regulaciones, etc.).

6 El sistema tendrá 5 usuarios de diferentes departamentos con diferentes permisos sobre los siguientes directorios: Usuario Departamento Directorio Personal Directorio Dpto. Ventas Directorio Dpto. Marketing N1(*) Ventas rwx rwx r x N2(*) Márquetin rwx rwx r x N3(*) Ventas rwx rwx r x rvila Márquetin rwx rwx r x jperez Márquetin rwx rwx r x Directorio Dpto. Administración (*) Donde N1, N2, N3 corresponde a los nombres de los miembros del grupo de la práctica, por ejemplo, Pau Bernabeu pbernabe (como ejemplo de resolución: N1=agonzalez, N2=pbernabe, N3=nlopez) Pasos a realizar: Creación de los directorios Ventas, Márquetin, y Administración en /datos/ftp. o [root@ftpc /]# cd /datos/ftp/ o mkdir ventas marquetin administración Creación de los grupos (para poder compartir directorios). o [root@ftpc /]# groupadd administracion o [root@ftpc /]# groupadd ventas o [root@ftpc /]# groupadd márquetin Asignar propietarios. o [root@ftpc ftp]# chown nobody:administracion administracion/ o [root@ftpc ftp]# chown nobody:ventas ventas/ o [root@ftpc ftp]# chown nobody:marquetin marquetin/ Asignamos permisos y el sticky bit: o [root@ftpc ftp]# chmod 1770 marquetin o [root@ftpc ftp]# chmod 1770 ventas/ o [root@ftpc ftp]# chmod 550 administracion/ o [root@ftpc ftp]# chmod g+s marquetin/ ventas/ (agregamos el setgid al grupo). Añadimos los usuarios y los ponemos en sus respectivos directorios raíz: o [root@ftpc ftp]# useradd -d /datos/ftp/rvila -s /sbin/nologin rvila o (añade el resto de usuarios) Asignamos contraseña a los usuarios:

7 o o o Sistemas y Servicios en Red [root@ftpc ftp]# passwd rvila Introducimos como contraseña pa$$word (repita el proceso para el resto de usuarios, misma contraseña para todos) Explorando el archivo /etc/passwd podemos observar si los usuarios se han introducido correctamente (ver las últimas 5 líneas). Para poder navegar por el resto de carpetas con permisos modificamos estas líneas para que queden tal como se observa en la siguiente figura (quitar el directorio personal) Asignamos los usuarios a sus grupos: o Como vemos en la tabla todos pertenecen a administración. o Añada cada usuario a ventas o márquetin según corresponda. o Podemos comprobar se han añadido correctamente, para ello vemos el fichero /etc/group (en concreto las líneas) Asignamos propietarios a los directorios (si no lo son, tal como lo hemos hecho al crear los usuarios ya son propietarios). Si no fuese así, o chown agonzalez:agonzalez agonzalez/ o (haga los mismo con el resto) o Tiene claro por qué? Damos permisos a los usuarios: o chmod 770 agonzalez/ jperez/ nlopez/ rvila/ pbernabe/ o Tiene claro por qué?. o El resultado final deberá ser:

8 Actividad Desde Filezilla, loguee usando diferentes usuarios y compruebe los permisos. Cree algunos ficheros e intente borrarlos usando diferentes usuarios distintos al propietario. 5. Cuotas de disco En este apartado aprenderemos a configurar cuotas de uso del disco (use xfs_quota después de que el sistema de ficheros es xfs). Valor de cuotas de usuarios (límite hard). Usuario N1 N2 N3 rvila jperez Cuotas 10 MB 50 MB 200 MB 10 MB 100 MB Importante: Para poder dar cuotas, debemos tener una partición que las permita. Por lo tanto, esto lo deberíamos tenerlo en cuenta al hacer la partición en el momento de la instalación. Lo correcto, es disponer de dispositivos de almacenaje externos (red storage). En este caso, vamos a añadir al servidor un nuevo disco y asignarle la capacidad de cuotas. Aprovechando lo ya realizado en el directorio /datos/ftp. Pasos a seguir: Apagamos la máquina. Añadimos un nuevo disco virtual desde VirtualBox. (Tamaño 8GB). Les damos de nombre, por ejemplo, datos_ftp. Arrancamos la máquina. Montamos el nuevo disco duro en /datos/ftp. o Daremos formato al disco y lo marcamos como LVM fdisk /dev/sdb Marcamos la participación como primaria, y el tamaño: Introducimos n.

9 Introducimos p. (indicamos participación primaria). Presionamos intro dos veces. Sistemas y Servicios en Red Marcamos la partición como LVM: Introducimos t y posteriormente 8e. Introducimos w (con lo que aceptamos y tendremos el formato realizado). Agregamos el disco a /datos/ftp. o pvcreate /dev/sdb1 o vgextend centos /dev/sdb1 o lvcreate l 100%FREE n datos_ftp centos. Damos formato xfs al disco o mkfs -t xfs /dev/centos/datos_ftp Creamos un directorio temporal. o Montamos: mkdir /nmt/datos_ftp o mount /dev/centos/datos_ftp /mnt/datos_ftp o Verificamos: mountpoint /mnt/datos_ftp/ o Si obtenemos el mensaje /mnt/datos_ftp/ is not a mountpoint, todo es correcto. Una vez, que está montado, realizamos una copia de los directorios creados hasta ahora y que tenemos en /datos/ftp. o cp -ax /datos/ftp/* /mnt/datos_ftp/ o Eliminamos el directorio /datos/ftp: rm rf /datos/ftp o Lo volvemos a crear: mkdir p /datos/ftp o Desmontamos disco: umount /nmt/datos_ftp. Modificamos fichero vi /etc/fstab o Añada la línea: /dev/centos/datos_ftp /datos/ftp xfs defaults,usrquota, grpquota 0 0 Volvemos a montar. o mount av Verificamos que está montado: (Se observa que está montado, ver la última línea de la figura anterior) Comprobamos en /datos/ftp tenemos los directorios.

10 Ya estamos pues en condiciones de crear cuotas en los directorios dedicados al servicio FTP. Creamos las cuotas de usuario: Verificamos las cuotas son correctas. ftp]# repquota /datos/ftp/ ó ftp]# xfs_quota -x -c 'report -h' /datos/ftp Actividades Chequee las cuotas de los usuarios. Desde Filezilla, chequee el correcto funcionamiento de las cuotas, transfiriendo ficheros con menos tamaño que el permitido y más grande que el permitido. Nota: Para crear ficheros de un determinado tamaño. dd if=/dev/zero of=archivo.bmp bs=1 count=0 seek=200m

11 6. Logging Sistemas y Servicios en Red Por defecto, el servidor vsftpd escribe los logs directamente al fichero (/var/log/xferlog) Actividades: Chequee los logs en /var/log/xferlog. Intente loguear un usuario con un password erróneo y chequee los siguientes logs: messages y secure buscando el error.